अगर HTTPS का उपयोग किया जाता है तो क्या मैं नेटवर्क मॉनिटरिंग सॉफ्टवेयर से सुरक्षित हूं?

Question

मैं अपने बैंक खाते और कार्यस्थल पर अपने व्यक्तिगत ईमेल खातों में प्रवेश करूंगा। इसके काम पर प्रतिबंध नहीं लगाया गया है, लेकिन मैं सिर्फ यह नहीं चाहता कि मैं इन सेवाओं के साथ जो कुछ भी करता हूं, उसकी एक प्रति सहेज / लॉग इन करूं। खासकर मेरे पासवर्ड।

यदि सेवा HTTPS कनेक्शन का उपयोग करती है, तो क्या मेरी कंपनी मेरे पासवर्ड को ट्रैक / सेव / लॉग इन कर पाएगी, जिसका उपयोग मैं इन सेवाओं के लिए कर सकता हूँ? पृष्ठों की सामग्री के बारे में क्या?

फिर से, मेरी कंपनी के नियम मेरे व्यक्तिगत ईमेल खाते या इंटरनेट बैंकिंग सेवाओं के उपयोग पर प्रतिबंध नहीं लगाते हैं, लेकिन मैं नहीं चाहता कि वे इनके बारे में कोई महत्वपूर्ण जानकारी जानें। यह ठीक है कि अगर वे जानते थे कि मैं उन का उपयोग कर रहा हूं, लेकिन उन्हें मेरे पासवर्ड तक पहुंच नहीं मिलनी चाहिए।

यदि HTTPS का उपयोग किया जाता है, तो क्या मैं उन्हें सुरक्षित रूप से उपयोग कर सकता हूं (मेरी कंपनी यह जानकर उस डेटा को नहीं बचा सकती है)?

PS मैं वास्तव में एक नेटवर्क लड़का नहीं हूं और मुझे इस बारे में ज्यादा जानकारी नहीं है कि ये चीजें कैसे काम करती हैं। तो कृपया कोई RTFM उत्तर न दें।

Comments

पहले से ही उत्तर की तरह: नेटवर्क समस्या नहीं है। आपके ब्राउज़र द्वारा छोड़े गए निशान (आपके द्वारा उपयोग किए जा रहे कंप्यूटर पर) कहीं अधिक संभावित हैं। कुछ ब्राउज़रों में ऑफ़लाइन कैश में एन्क्रिप्टेड पृष्ठों को सहेजने / अक्षम करने के लिए स्पष्ट सेटिंग्स हैं। (जैसे फ़ायरफ़ॉक्स में: kb.mozillazine.org/Browser.cache.disk_cache_ssl जो झूठे को डिफॉल्ट करता है, जो सुरक्षित है।)

— अर्जन

मैं फ़ायरफ़ॉक्स में "निजी ब्राउज़िंग" मोड का उपयोग कर रहा हूं। मुझे आशा है कि मेरे सिस्टम पर सामान नहीं सहेजेगा।

नहीं, यह बहुत अधिक संभावना है कि आपकी कंपनी आपके कार्य केंद्र पर सॉफ़्टवेयर की निगरानी करती है जो आपके द्वारा किए जाने वाले कार्यों की निगरानी और रिकॉर्ड करता है।

— BBLake

हे, सभी उत्तर के लिए धन्यवाद! आपने बहुत सी बातें समझाई हैं। अब मुझे समझ में आ गया है कि क्या संभव है और मेरी कंपनी क्या कर सकती है / नहीं कर सकती है। आप लोगों ने जो समझाया है, और मेरी कंपनी की तकनीकी विशेषज्ञता से, मैं यह निष्कर्ष निकाल सकता हूं कि यह अत्यधिक संभावना नहीं है कि वे HTTPS पर भेजे गए सामान को जान पाएंगे। पूरी सहायताके लिए शुक्रिया! :) मैं एक सदस्य नहीं हूं, इसलिए मैं बहुत से उत्तर नहीं दे पाया, भले ही वे इसके लायक हों।

Answer 1

उत्तर देने से पहले: यदि कोई ब्राउज़र आपको चेतावनी देता है कि कोई साइट खराब एन्क्रिप्शन का उपयोग कर रही है या गलत पहचान की जानकारी की आपूर्ति कर रही है, तो त्रुटि को पढ़ना, इसे समझना और यह समझना मुश्किल है कि क्या आप जारी रखना चाहते हैं।

संक्षिप्त उत्तर: हां, यदि आप किसी विश्वसनीय उपकरण का उपयोग कर रहे हैं

लंबा जवाब:

यदि कोई आपके कनेक्शन को किसी अन्य कंप्यूटर (कहीं न कहीं आपके और आपके बैंक के बीच) से देख रहा है और आप HTTPS का उपयोग कर रहे हैं, और वे हस्ताक्षरित प्रमाण पत्र का उपयोग कर रहे हैं एक उपयुक्त मजबूत एल्गोरिथ्म, तो आप स्पष्ट में हैं। (जब तक वे वर्षों तक डेटा को सहेजते हैं और बाद में एल्गोरिदम के टूटने के बाद इसे पढ़ते हैं - लेकिन वे संभवतः आपके घर में तोड़ना और आपके सामान को चोरी करना बेहतर होगा;))।

संभावना है, यदि यह आपका बैंक है, तो वे हस्ताक्षरित प्रमाण पत्र का उपयोग एक मजबूत रूप से मजबूत सिफर के साथ कर रहे हैं। आप पृष्ठ के लिए SSL जानकारी को देखकर इसे सत्यापित कर सकते हैं, जिसे प्रदर्शित किया जाना चाहिए यदि आप पृष्ठ की जानकारी देखते हैं, तो फ़ायरफ़ॉक्स 3.5 के साथ एड्रेस बार में बाईं ओर ब्लू या ग्रीन नाम पर क्लिक करें, या लॉक पर क्लिक करें। IE8 में पता बार में दाईं ओर। यदि आप रंगीन क्षेत्र पर क्लिक करने के बाद अधिक जानकारी का चयन करते हैं तो फ़ायरफ़ॉक्स उपयोग किए गए एन्क्रिप्शन एल्गोरिथ्म को भी प्रदर्शित करेगा ।

यदि आप उस डिवाइस पर भरोसा नहीं करते हैं जिसे आप कनेक्ट करने के लिए उपयोग कर रहे हैं (जैसे कि एक कंप्यूटर जो आपका अपना नहीं है जिसे दूसरों द्वारा संशोधित किया जा सकता है), तो यह अधिक चिंता का विषय है। अब, आपका कार्यस्थल संभवतः आपकी बैंकिंग जानकारी को देखने जैसे कुछ भी अवैध नहीं करने जा रहा है; लेकिन यदि आपके सिस्टम से छेड़छाड़ की जाती है तो SSL कम होना संभव है। यह हो सकता है कि आपके कंप्यूटर को एक प्रॉक्सी द्वारा हस्ताक्षरित प्रमाण पत्र (प्रमाणपत्र या प्रमाणपत्र पिनिंग का निरीक्षण इस बात को विफल करेगा) को स्वीकार करने के लिए कॉन्फ़िगर किया गया है। हालाँकि, निगरानी कहीं भी हो सकती है - उदाहरण के लिए, एक keylogger को आपके बैंकिंग क्रेडेंशियल्स पर कब्जा करने के लिए SSL को हराने की आवश्यकता नहीं होगी। एसएसएल इसे बनाता है ताकि आपको दो विश्वसनीय समापन बिंदुओं के बीच कनेक्शन पर भरोसा करने की आवश्यकता न हो, लेकिन यदि समापन बिंदु स्वयं अविश्वसनीय है, तो सभी दांव बंद हैं।

Comments

ठीक है। उदाहरण के लिए हॉटमेल लें। अगर मैं लॉग इन करते समय "बढ़ी हुई सुरक्षा का उपयोग करता हूं" का चयन करता हूं, तो यह HTTPS कनेक्शन में बदल जाता है। फ़ायरफ़ॉक्स में, एड्रेस बार चीज़ हरे रंग की होती है, और वहाँ से जो प्रदर्शित होता है, मुझे लगता है कि यह बहुत सुरक्षित है। एक उदाहरण के रूप में, व्यावहारिक उद्देश्यों के लिए, इस तरह के HTTPS कनेक्शन के साथ वेबसाइटों का उपयोग करना पूरी तरह से ठीक है, यह जानते हुए कि कोई भी (अगले कुछ महीनों में कम से कम) जानकारी को डिक्रिप्ट नहीं कर सकता है। क्या मैं सही हूँ?

मुझे ऐसा लगता होगा। अगर आप HTTPS का उपयोग करते हुए अकेले नेटवर्क ट्रैफ़िक का उपयोग करते हुए नेटवर्क व्यवस्थापक आपके बैंक खाते तक पहुँच प्राप्त कर रहे हैं तो मुझे आश्चर्य होगा। इसके साथ ही कहा कि, सुरक्षित कनेक्शन का उपयोग करते समय भी आप अन्य तरीके से असुरक्षित हो सकते हैं, और आपको अपने बैंक के निर्देशों का पालन करना चाहिए कि कैसे उनकी साइट का उपयोग करें - जैसे कि हमेशा परिष्करण के बाद लॉगिंग करना (जैसा कि विंडो बंद करने का विरोध किया जाता है) और नहीं बैंकिंग करते समय अन्य साइटों को ब्राउज़ करना। हमेशा एक अप-टू-डेट ब्राउज़र का उपयोग करें, और सुनिश्चित करें कि आपके द्वारा उपयोग किया जाने वाला कंप्यूटर एंटी-वायरस सॉफ़्टवेयर के साथ विश्वसनीय है।

— टायलर स्ज़ैबो

Answer 2

नहीं, निराला नहीं। आपकी कंपनी आपके कनेक्शन को एक प्रॉक्सी के माध्यम से भेज सकती है जो एक आदमी के बीच में काम करता है। वह है: सभी HTTPS ट्रैफ़िक आपकी मशीन से प्रॉक्सी पर जाता है, वहां डिक्रिप्ट किया जाता है, विश्लेषण किया जाता है, एन्क्रिप्ट किया जाता है और सर्वर पर भेजा जाता है। आपकी मशीन सर्वर से सुरक्षा प्रमाण पत्र का उपयोग नहीं करेगी, लेकिन इसके बजाय प्रॉक्सी दी गई वेबसाइट के लिए एक उत्पन्न करेगा और आपको भेज देगा, इसलिए आपके पास वास्तव में दो HTTPS कनेक्शन हैं: आप से प्रॉक्सी और प्रॉक्सी से सर्वर तक।

ऐसा होने के अलावा, कंपनी को प्रमाणपत्र बनाने के लिए एक सर्टिफिकेट सर्वर की आवश्यकता होती है। आम तौर पर ब्राउज़र यहां आपत्ति करेगा और शिकायत करेगा कि प्रमाण पत्र प्राधिकरण पर भरोसा नहीं है, लेकिन निश्चित रूप से समूह नीतियों और इस तरह के माध्यम से ओवरराइड किया जा सकता है।

यह आवश्यक रूप से नियोक्ता द्वारा गलत खेल नहीं है, क्योंकि यह एक एंटी-वायरस अवधारणा का हिस्सा हो सकता है या कानूनी कारणों के कारण हो सकता है।

अपने ब्राउज़र में, प्रमाणपत्र देखें। विशेष रूप से, प्रमाण पत्र प्राधिकरण को देखें। यदि प्रमाण पत्र एक "वास्तविक" CA द्वारा जारी किया जाता है जैसे कि Thawte, VeriSign आदि, तो इसका मतलब होगा कि आप सर्वर से एक का उपयोग कर रहे हैं और आपको सुरक्षित होना चाहिए। हालांकि, अगर यह "YourCompany-AV" या जैसे कुछ द्वारा जारी किया जाता है, तो आपके पास एक मध्य-मध्य प्रॉक्सी है।

Comments

मुझे लगता है कि हो सकता है यहाँ पर जोर दिया जाना चाहिए। सामान्य परदे के पीछे मक्खी पर प्रमाण पत्र नहीं बनाते हैं, और HTTPS ट्रैफ़िक को डिक्रिप्ट नहीं करते हैं (लेकिन कनेक्ट विधि का समर्थन करते हैं)।

— अर्जन

... लेकिन फिर: सवाल पूछने वाला चिंतित है, इसलिए शायद यह सभी संभावनाओं का उल्लेख करने के लिए है। (और शायद इस तरह के प्रॉक्सी के साथ और भी कंपनियां हैं जिनकी मैं कल्पना कर सकता हूं; 1 सब के बाद!)

— अर्जन

यह सच है कि आम तौर पर प्रॉक्सी सिर्फ HTTPS ट्रैफिक से गुजरते हैं क्योंकि वे इसके साथ कुछ भी नहीं कर सकते हैं, और मुझे नहीं पता कि HTTPS- इंस्पेक्शन बढ़ रहा है या नहीं, लेकिन मैंने देखा है कि ऐसा होता है इसलिए मैंने सोचा कि मैं संभावना की ओर इशारा करता हूं।

— माइकल Stum

मुझे नहीं पता कि अभ्यास कितना आम है, लेकिन मेरे नियोक्ता ऐसा करते हैं। AFAIK यह सुनिश्चित करने के लिए कि हम एसएसएल पर नेटवर्क से बाहर मालिकाना डेटा नहीं भेज रहे हैं।

— दान

@senthil HTTPS का उद्देश्य ट्रैफ़िक को एन्क्रिप्ट करना और प्रतिभागियों की पहचान करना है । जो कोई भी लाइन को नियंत्रित करता है वह सैद्धांतिक रूप से बीच में एक आदमी हो सकता है (इसलिए इसे मैन-इन-द-मिडल अटैक भी कहा जाता है) लेकिन अनएन्क्रिप्टेड एचटीटीपी के विपरीत, यह अनडेट नहीं रहेगा। जैसा कि कहा गया है, प्रमाण पत्र की जांच करें और जिसने इसे जारी किया है। आम तौर पर एक प्रमाण पत्र को नकली करने का कोई तरीका नहीं है (कुछ डेबियन लिनक्स संस्करणों में एक बग था जो नकली सेर के लिए संभव था, लेकिन यह अब तक एक अलग घटना थी)।

— माइकल Stum

Answer 3

सामान्यतया, आप सुरक्षित हैं। जब आप https कनेक्शन के माध्यम से बैंक की वेबसाइट पर जाते हैं, तो उपयोगकर्ता नाम और पासवर्ड जैसे सभी डेटा एन्क्रिप्ट किए जाते हैं, बहुत कम समय में इसे डिक्रिप्ट करना मुश्किल है, जब तक कि वे एन्क्रिप्शन एल्गोरिथ्म को अच्छी तरह से नहीं जानते हैं। । हालाँकि, कुंजी लकड़हारा जैसे अन्य हमले हैं, अगर वे जानकार हैं तो बीच का आदमी काम करेगा। संवेदनशील जानकारी दर्ज करने से पहले, पर्यावरण पर ध्यान दें।

Comments

यदि वे जानकार हैं तो मध्य में आदमी काम करेगा - HTTPS के साथ?

— अर्जन

Answer 4

यदि आप एक कंपनी के स्वामित्व वाली मशीन का उपयोग कर रहे हैं और कंपनियों की नीतियों के लिए सहमत हैं, तो ऐसे मुद्दे हो सकते हैं जो आपकी कंपनी के लिए विशिष्ट हों। बिना किसी और जानकारी के मैं कहूंगा कि आपको सुरक्षित होना चाहिए, लेकिन मुझे एक चेतावनी के साथ संतुलन बनाना होगा। तकनीकी रूप से यह संभव है, लेकिन अगर आप "सामान्य" जीवन जीते हैं तो हर दिन आपके सामने आने वाली बहुत सी चीजें हैं जो आपके व्यक्तिगत डेटा से उस परिदृश्य की तुलना में अधिक संभावित जोखिम पेश करती हैं, जिसके बारे में आप पूछ रहे हैं।

कुछ बुनियादी बातों के बारे में पता होना चाहिए। कंपनी को अभी भी पता चल सकता है कि आप किन साइटों पर जा रहे हैं और कितने समय के लिए हैं। डेटा एन्क्रिप्ट किया जा सकता है, लेकिन यह अभी भी रूट किया जाना है ताकि पता चल सके कि डेटा कहां से और उजागर हो रहा है।

आपके ब्राउज़र की किसी भी सुरक्षा सुविधाओं का लाभ लेने के बारे में अन्य उत्तरों में सलाह अच्छी है। मैं जोड़ता हूं कि आपको अपनी कंपनियों की नीतियों की समीक्षा करने के लिए एक क्षण लेना चाहिए जो कार्य मशीनों पर व्यक्तिगत डेटा से संबंधित हैं।

Comments

नमस्ते, जैसा कि मैंने उल्लेख किया है, मैं उनके बारे में चिंतित नहीं हूं कि मुझे पता है कि मैं किन साइटों पर जाता हूं और कितने समय तक, जब तक वे नहीं जानते कि मैं पाठ क्षेत्रों में क्या टाइप करता हूं। और मुझे पूरा यकीन है कि उनके पास कुंजी लकड़हारे नहीं हैं।

Answer 5

बैंक आमतौर पर 128 बिट एन्क्रिप्शन या उच्चतर का उपयोग करते हैं। उनके एसएसएल सर्टिफिकेट के गुणों की जांच करें, या यहां तक ​​कि यह क्या है, यह जानने के लिए उनके किसी तकनीकी समर्थन से पूछें। यदि यह 128 से कम है तो मैं इसका उपयोग नहीं करने का सुझाव दूंगा। लेकिन अगर यह 128 या उससे अधिक है, तो आपको ठीक होना चाहिए। जब तक Ettercap, Wireshark, Shijack और उनके कंधे पर एक बड़े पैमाने पर चिप के साथ नेटवर्क पर कोई आपके खिलाफ नहीं है। यदि आप इसके बारे में चिंतित हैं, तो बस काम में नेट बैंकिंग का उपयोग न करें। तो फिर, आपकी बैंकिंग जानकारी प्राप्त करने के लिए घर पर अपने कंप्यूटर को क्रैक करने से रोकने के लिए क्या है? तुम शायद काम पर सुरक्षित हो। मेरे प्रबंधक मेरे ब्राउज़र इतिहास को मुश्किल से देख सकते हैं - मैं उन्हें एक SSL प्रमाणपत्र द्वारा प्रदान की गई SHA1-RSA एन्क्रिप्शन को क्रैक करना चाहता हूं।

Comments

ROFLOL .. मैं आपकी आखिरी पंक्ति पढ़ने के बाद 2 मिनट के लिए हंसना बंद नहीं किया: D

क्या आपने सिर्फ स्पर्शरेखा से संबंधित शब्दों के एक समूह को एक साथ श्रृंखलाबद्ध किया था?

— ब्रायन बोएचर

Answer 6

प्रभावी रूप से आप बस सुरक्षित हैं क्योंकि आम तौर पर नेटवर्क प्रवेश के लिए बेहतर चीजें हैं। तकनीकी रूप से, नहीं, आपका डेटा सुरक्षित नहीं है। आपने यह नहीं बताया कि आप किस क्षेत्र में हैं, लेकिन उदाहरण के लिए कॉल सेंटर के काम में ऐसी प्रणालियाँ होंगी जिनकी बेहद निगरानी की जाती है। डेटा एन्क्रिप्शन कोई फर्क नहीं पड़ता कि कीस्ट्रोक लॉग हो रहे हैं और स्क्रीन सामान्य ऑपरेशन के एक हिस्से के रूप में कैप्चर की गई है। यदि आप चिंतित हैं कि आपके बैंक खाते की जानकारी देखने के लिए प्रवेश की इच्छा हो सकती है, तो बैंकिंग के लिए अपने कार्य कंप्यूटर का उपयोग न करें।

Answer 7

कंपनियां अक्सर नेटवर्क विश्लेषण के लिए प्रॉक्सी और फायरवॉल का उपयोग करती हैं, लेकिन आप यह सुनिश्चित कर सकते हैं कि उनमें से किसी के द्वारा https ट्रैफ़िक को सूँघा नहीं जा सकता है। किसी व्यक्ति के मध्य हमले को रोकने के लिए, https का मूल सिद्धांत है।

Comments

अपनी टिप्पणी का बैक-अप करने के लिए कुछ संदर्भ जोड़ने की देखभाल करें ताकि यदि वे इसके बारे में अधिक पढ़ना चाहें तो वे निश्चित हो सकें?

— fernando.reyes

"लेकिन आप यह सुनिश्चित कर सकते हैं कि https ट्रैफ़िक उनमें से किसी के द्वारा सूँघा नहीं जा सकता है।" मैं इस बात की पुष्टि कर सकता हूँ कि यह कई कंपनियों पर गलत है, वास्तव में, कई एंटी-वायरस सुरक्षा सॉफ़्टवेयर भी इस कथन को गलत बनाते हैं, यह बेहद खतरनाक और गलत है

— रामऔंध

@ रामदूत आप बेहद गलत हैं, जाहिर है कि आपका एंटीवायरस सॉफ़्टवेयर आपके ट्रैफ़िक को सूँघ सकता है क्योंकि आपने इसे पहले अनुमति दी है, यह आपके कंप्यूटर में है। यदि आपकी कंपनी आपके कार्यालय पीसी का मालिक है, तो यह स्पष्ट है कि वे आपके ट्रैफ़िक को सूँघ सकते हैं, वे आपके कंप्यूटर में ssl प्रमाणपत्र स्थापित कर सकते हैं, इसलिए आपका ब्राउज़र उन पर भरोसा करेगा और जिसके पास भी निजी कुंजी होगी, वह आपके पैकेट देख सकता है। यदि आप अपने निजी कंप्यूटर को अपने कार्यालय में लाते हैं तो कोई भी आपके ट्रैफ़िक को सूँघ नहीं सकता है। आप बेहद खतरनाक हैं।

— फर्नांडो कार्वाज़ल

इस सवाल के लेखक एक BYOD का उपयोग नहीं कर रहा है। । यह प्रश्न के संदर्भ के आधार पर स्पष्ट है कि वे एक कंपनी कंप्यूटर का उपयोग कर रहे हैं। आपने अपने उत्तर में कभी भी BYOD का स्पष्टीकरण नहीं किया। आपने कहा कि यह संभव नहीं था, "लेकिन आप यह सुनिश्चित कर सकते हैं कि https ट्रैफ़िक को उनमें से किसी के द्वारा सूँघा नहीं जा सकता।", जो वास्तव में सच नहीं है। अंत में यह मायने नहीं रखता कि कौन सही है या गलत।

— रामहाउंड

Answer 8

पैकेट को सहेजना और बाद में आरएसए एन्क्रिप्शन को तोड़ना संभव है, हालांकि चूंकि इंटरनेट पैकेट स्विचिंग पर आधारित है, इसलिए यह संभावना नहीं है कि किसी भी हमलावर के पास टीसीपी पैकेट को पुनर्गठित करने के लिए पर्याप्त पदार्थ होगा।

सब कुछ और कुछ भी संभव है।

Comments

आप सैकड़ों कंप्यूटरों ( PCworld.com/article/id,132184-pg,1/article.html ) के साथ महीनों के लिए 1024-बिट RSA को भी सीमित कर सकते हैं , और 2048-बिट आजकल इतना दुर्लभ नहीं है।

— व्हाइटवार्क

ठीक है मुझे परवाह नहीं है अगर इसकी 399 सहस्राब्दी, यह अभी भी संभव है।

— रिक्रिएशन

हालांकि, बैंकिंग एसएसएल कनेक्शन को तोड़ने के लिए यह सारी कंप्यूटिंग शक्ति कौन खर्च करेगा, जब तक कि इस उपयोगकर्ता के बारे में कुछ संदिग्ध न हो? जैसा कि पहले कहा गया था, यदि आप एक सामान्य कर्मचारी हैं, और आप पहले से ही कुछ भी अवैध नहीं कर रहे हैं, तो आपको चिंता नहीं करनी चाहिए, जब तक कि आपके बॉस के पास आपकी जासूसी करने का बहुत अच्छा कारण न हो। वह, अपने कीस्ट्रोक्स की जासूसी करने के लिए अपने एसएसएल ट्रैफ़िक को डिक्रिप्ट करना होगा, आधा दर्जन वेब कैम को छिपाना आसान होगा।

— jfmessier

ठीक है और फिर से, ओपी ने पूछा कि क्या यह संभव है, यदि इसकी संभावना नहीं है। कृपया मतदान जारी रखें।

— पुनरावृत्ति

। उत्तर देने के लिए समय निकालने के लिए आप को अच्छा है :)। मुझे लगता है कि व्यावहारिकता मेरे प्रश्न में निहित थी। अगर मेरे मृत होने के 399,000 साल बाद किसी को मेरे बैंक खाते के विवरण का पता चला तो मुझे इसकी परवाह क्यों होगी? : पी